非對稱密鑰體系在粵通卡空中充值中的應用

□ 文/陳 喆 劉少軍 李 潔

非對稱密鑰體系在粵通卡空中充值中的應用

□ 文/陳 喆 劉少軍 李 潔

根據交通運輸部發布的《交通運輸部關于開展全國高速公路電子不停車收費聯網工作的通知》中關于探索網上充值等服務模式的要求，廣東于2015年率先推出了粵通卡空中充值系統，并創新性推出基于非對稱密鑰技術的認證充值終端的認證模式，基本解決了異地充值、充值網點有限等條件的限制，粵通卡用戶更好的體驗到簡單、便捷的充值方式。

與傳統的充值方式相比，空中充值有效彌補客服網點等實體渠道的不足，為客戶提供多樣化的靈活、便捷充值服務。空中充值的優點主要表現在服務理念的創新——將營業網點無限拉近到客戶身邊，減緩了營業網點的充值壓力；提高服務質量——采用便利服務系統，不再受到時間和空間的限制。

數字證書介紹

非對稱密鑰加密也稱為公鑰加密，它使用公鑰/私鑰，構成一對，私鑰用于加密數據，公鑰用于解密，其中公鑰可以提供給很多人，但私鑰是特定個人所獨有的。向用戶傳送公鑰使用的分發機制是數字證書，因此數字證書也稱公開密鑰證書，由CA系統簽發，在網絡通信中標志通信各方身份信息的一系列數據。證書中最重要的信息是個體名字、個體的公鑰、機構的簽名、算法和用途，目前最常用的證書格式X.509。

數字簽名是一種使用了公鑰加密領域的技術實現，用于鑒別數字信息的方法。一套數字簽名通常定義兩種互補的運算，一個用于簽名，另一個用于驗證。數字簽名主要的功能是：保證信息傳輸的完整性、發送者的身份認證、防止交易中的抵賴發生。

數字簽名過程

首先對要簽名的信息進行摘要運算（散列函數如MD5），然后將生成的摘要用私鑰進行加密運算（如RSA）

驗簽過程

信息接收方獲得簽名者的數字證書，驗證證書的有效性（有效期，頒發等），然后取出數字證書中的公鑰對簽名數據解密，獲得摘要，然后對信息原文進行摘要運算，如果得到的摘要相同，則說明驗簽成功。

圖1：證書簽名及驗簽過程

基于非對稱密鑰技術的粵通卡空中充值系統應用

粵通卡“空中充值”是通過在電腦或手機上的簡單操作來實現對粵通卡的充值辦理。空中充值主要有轉賬和圈存兩個步驟：轉賬時，用戶可以直接通過第三方支付方式(支付寶、微信支付、網銀、迷你付等)進行轉賬即可；圈存時，則需利用廣東聯合電子服務股份有限公司（以下簡稱“聯合電子”）自行發行的讀卡設備完成寫卡。

粵通卡空中充值業務的讀寫卡設備稱為充值終端設備，主要實現充值金額圈存到粵通卡中，包括聯合電子自發的設備與機構接入方的設備，其中聯合電子自發的設備需要自行實現發行與認證，設備中內置SE模塊。

當粵通卡客戶選擇聯合電子自發充值終端設備圈存時，可以通過手機APP與自發充值終端設備藍牙交互，實現粵通卡的充值。

圖2：自發充值終端設備的空中充值模式

自發充值終端設備與空中充值系統之間通過互聯網或專線接入，數據傳輸建立在利用CA證書進行雙向認證的基礎之上。CA證書主要用途一方面用于服務器、終端雙向認證，另一方面用于互聯網加密通訊，具體安全架構體系統如下。

圖3：安全架構體系

自發充值終端設備證書簽發流程

自發充值終端設備中簽發的數字證書完全符合ITUX.509 V3格式，兼容ITUX.509 V4標準。自發充值終端設備中的數字證書是通過與部中心連接的RA系統簽發生成，設備證書申請流程如下：

圖4：設備證書申請流程

自發充值終端設備安全認證流程

在粵通卡圈存過程中，對于內置數字證書的自發充值終端設備的雙向認證是根據JR/T0025.3—2013《中國金融集成電路（IC）卡規范》第十六部分“IC卡互聯網終端規范”實現，空中后臺服務器與設備之間的安全通道，利用握手工作原理與處理中心建立端到端的邏輯安全通道。

圖5：握手協議消息序列圖

安全通道的建立協議由握手協議和記錄協議兩部分組成。其中握手協議用于完成充值終端與空充服務器的雙向身份認證和會話密鑰的交互過程，記錄協議用于完成應用數據的加密傳輸具體握手協議流程如下。

總結

粵通卡空中充值系統是落實交通部鼓勵探索網上充值等服務模式的戰略部署，創新性推出充值終端安全認證模式，構建了全國充值模式最全面、充值手段最豐富的線上充值系統，在全國同行業中處于領先位置。該系統為廣大粵通卡用戶提供更加快捷方便的充值服務，實現足不出戶，隨時隨地進行充值，使出行更加智能化、便捷化、人性化。此外，粵通卡空中充值已有成熟的加密和防篡改安全保障機制，可以最大程度保障信息的機密性、完整性和確證性，防止信息被篡改、偽造和假冒，有效保障用戶的資金安全。

作者單位：陳喆：廣東聯合電子服務股份有限公司；劉少軍、李潔：廣州華工信息軟件有限公司